Låst ude af din VPN-server: behold en anden vej ind
En brudt tunnel bør ikke også fjerne din mulighed for at reparere serveren. Planlæg, test og gennemgå en uafhængig administrativ vej, før du får brug for den.
Du åbner konsollen, ændrer én firewall-regel, og den tunnel, du var forbundet gennem, forsvinder. Ændringen var korrekt, genindlæsningen var det ikke, og nu er den eneste vej tilbage til maskinen den, du netop har brudt. En anden vej ind er en designbeslutning, og den skal findes før udfaldet, ikke under det.
Gennemgå, hvad du stadig har
Start ved konsolskærmen foran dig, og list de veje, der ikke afhænger af tunnelen. En webkonsol hos udbyderen med en seriel session eller VNC er én. En administrationsgrænseflade på et separat netværk er en anden. Fysisk adgang er en tredje, og det er den, folk opdager mangler på det værst tænkelige tidspunkt.
| Path | Depends on | Usually fails when |
|---|---|---|
| Provider console | Account access and the provider's own API | Credentials live in a wiki only reachable over the tunnel |
| Management subnet | A second interface and its own routing | The bad change was a global route or firewall policy |
| Second tunnel | A different listener, port and credentials | Both listeners were changed in the same edit |
| Physical or local console | Being in the building | Nobody has been in the building for a year |
Læs den tredje kolonne som en fejlliste og ikke som en abstraktion. To af de veje fejler normalt af samme grund. Tabellen er måden, du opdager det på, før et udfald forklarer det for dig.
Uafhængighed er et spørgsmål om afhængigheder
En gendannelseskonto er ikke uafhængig, hvis dens adgangskode er gemt i en tjeneste, du når gennem tunnelen. En anden VPN på samme vært, samme port og samme firewallpolitik er heller ikke uafhængig, fordi ændringen, der brød den første, brækker begge.
Gå ned ad kæden og navngiv, hvad hvert trin kræver. Netværksrækkevidde, navneopløsning, en autentificeringskilde og selve administrationstjenesten er fire adskilte afhængigheder, og en vej, der deler nogen af dem, arver den fejl.
Den aldrig testede vej fortjener sin egen mistanke. En konsol, der ikke er åbnet i månedsvis, kan kræve en nulstilling af adgangskoden via e-mail, og den postkasse kan være hostet på den maskine, du ikke kan nå. Test vejen, mens alt virker, og du finder det på en rolig eftermiddag.
Brug den anden vej til én kontrolleret ændring
Fra konsollen tager du et snapshot eller kopierer den konfiguration, du er ved at redigere. Ændr én ting. Genindlæs tjenesten og læs resultatet, før du rører noget andet, for to ændringer på én gang gør en gendannelse til et eksperiment.
Hold gendannelsessessionen åben, mens du gør det. Hele værdien af den anden vej er, at den overlever det, du ændrer, så lukker du den først, fjerner du den eneste egenskab, der gjorde den nyttig.
Verificér fra gendannelsesvejen, ikke fra hukommelsen
Den kontrol, der betyder noget, er, om den normale vej kommer tilbage, og gendannelsessessionen er stedet, hvor du bekræfter det i rækkefølge:
systemctl status openvpn-server@server --no-pager ss -lntup | grep -E ':(1194|443)\b' nft list ruleset | sed -n '1,40p' journalctl -u openvpn-server@server --since '-10 min' --no-pager | tail -n 30
Læs først tjenestens tilstand, derefter lytteren, derefter reglerne, derefter journalen. En tjeneste, der kører uden lytter, peger på tjenestens konfiguration, mens en lytter uden tilgængelige regler peger på filtrering. Rækkefølgen betyder noget, fordi hvert trin indsnævrer det næste, og at springe til journalen betyder normalt at læse fejl, der beskriver symptomet snarere end årsagen.
systemctl-dokumentationen dækker den status- og genstartadfærd, der bruges her, herunder hvordan en mislykket genindlæsning lader den forrige proces køre. At gendanne en sammenhængende revision er bedre end at genoprette forbindelse igen og igen fra en klient, der ikke kan reparere serveren. Hvis den tilbagerulningsbetingelse, du definerede før ændringen, er opfyldt, skal du gendanne og stoppe.
Hold fortegnelsen opdateret
Gennemgå adgangslisten, når mennesker eller infrastruktur ændrer sig. Test gendannelsesvejen, mens alt virker. Nedlæg de konti, som ingen har brugt siden den sidste omorganisering. To forældede konti og et udløbet certifikat er en lille oprydning en tirsdag og et udfald en søndag.
Notér, hvem der kan bruge hver vej, hvad den tillader, og hvordan legitimationsoplysningerne roteres. En gendannelsesvej uden ejer bliver en glemt indgang, hvilket er en anden slags fejl end at være låst ude.